C’est d’une manière atypique qu’une faille 0-day dans Flash Player a été découverte. Elle faisait en effet partie des données confidentielles de l’entreprise italienne Hacking Team qui ont été volées et rendues publiques.
La réputation de l’entreprise italienne Hacking Time est plutôt sulfureuse vu que son business consiste à élaborer des logiciels d’espionnage afin de les proposer aux agences de renseignement dans le monde entier.
Le problème, c’est que l’arroseur s’est fait arrosé vu que l’entreprise s’est fait voler 400 Go de données confidentielles, de la correspondance et des codes sources qui se sont retrouvés publiés sur internet.
Là où le bât blesse le plus, c’est que les documents divulgués révèlent que Hacking Time avait la connaissance de l’existence d’une faille de sécurité dans Flash Player, mais ne l’a pas communiquée à Adobe.
Les documents mentionnent que l’équipe de Hacking Team a décrit la faille en question comme « le plus gros bug de Flash de ces quatre dernières années ». Trend Micro révèle pour sa part que cet exploit a été inclus dans au moins trois exploits kits, des collections de code et d’outils à l’attention des attaquants qui tendent de prendre un contrôle malveillant d’ordinateurs.
« Quand vous connaissez la gravité d’un bug, il existe un devoir d’informer l’éditeur du logiciel », a dénoncé Bharat Mistry, un expert en cybersécurité chez Trend Micro. « Ils ont peut-être considéré cela comme une opportunité pour leurs propres besoins ».
« Flash étant très présent sur le web, il est potentiellement possible que ce bug soit exploité par des criminels », ajoute-t-il.
« Il s’agit de l’un des cas documentés les plus rapides d’arsenalisation d’une faille, il faut certainement dire merci aux instructions fournies par l’équipe de Hacking Team », déplore Jérôme Segura, de Malwarebytes.
Alors qu’Adobe reconnait que la faille affecte Flash Player jusqu’à la version 18.0.0.194, l’éditeur propose déjà un correctif estampillé 18.0.0.203.
Via bbc.com